Sécurité & conformité

Les factures sont sensibles — elles contiennent des données de paiement, des IBAN et des contacts commerciaux. Beleggo est donc conçu de sorte que ces données ne quittent jamais votre appareil. Cette page explique précisément comment cela fonctionne et comment vous pouvez le vérifier vous-même.

Traitement local — aucune transmission

L’ouverture, la vérification, la réparation, la création et la conversion de factures électroniques s’exécutent entièrement dans votre navigateur ou votre application locale via le moteur Saxon-JS. Les contenus de facture, les fichiers téléversés et les documents XML/PDF que vous générez ne sont pas envoyés à nos serveurs, ne sont pas conservés et ne nous sont pas accessibles. Après le premier chargement, Beleggo fonctionne également hors ligne.

Vérifiez-le vous-même

Vous n’avez pas à nous croire sur parole : ouvrez les outils de développement de votre navigateur (l’onglet « Réseau »), chargez une facture et lancez une validation. Vous constaterez qu’aucune donnée de facturation ne quitte l’appareil. À titre de test, coupez la connexion internet — la vérification continue de fonctionner.

Ce qui est stocké dans le navigateur

Votre profil de vendeur, vos clients enregistrés, vos factures enregistrées et vos dossiers clients sont conservés chiffrés dans la base de données de votre navigateur (AES-GCM) et restent uniquement sur votre appareil. Aucun texte en clair ne subsiste dans le profil du navigateur, dans une sauvegarde de profil ou dans un dossier synchronisé. Seuls les réglages sans caractère personnel — langue, référentiel choisi, clé de licence — restent non chiffrés, afin qu’une clé perdue ne réinitialise pas aussi l’interface. Vous pouvez tout supprimer à tout moment via « Effacer les données » dans l’outil ou via les paramètres de votre navigateur.

La clé est générée par l’application et se trouve sur le même appareil que les données. Cela protège contre un accès fortuit et une divulgation accidentelle — pas contre un appareil volé ou saisi. C’est le chiffrement intégral du disque de votre système qui s’en charge (FileVault, BitLocker).

Journal et sauvegarde

Chaque action dans le studio — vérifiée, réparée, enregistrée, supprimée — est consignée et chaînée à l’entrée précédente. Le journal se trouve dans le studio lui-même (« Journal » dans l’en-tête) ; modifier une entrée après coup, ou en perdre une silencieusement, change l’empreinte à la fin de la chaîne. Notez cette empreinte hors de la machine, par exemple dans votre documentation de procédure — seule une comparaison avec une valeur conservée de façon indépendante a une valeur probante. Le journal ne contient ni contenu de facture, ni noms, ni montants.

Le stockage du navigateur n’est pas durable : un cache vidé emporte tout, y compris la clé. La sauvegarde écrit donc un fichier chiffré avec votre mot de passe — empreinte comprise — qui peut être restauré sur un autre appareil. Ce mot de passe ne peut pas être récupéré. Ni le stockage du navigateur ni la sauvegarde ne constituent une archive infalsifiable — exportez vos factures vers votre GED pour la conservation légale.

La facture elle-même est une entrée non fiable

Une facture entrante vient de quelqu'un d'autre. Elle est donc traitée comme une entrée non fiable, et non comme un document de votre propre cabinet :

• Une pièce jointe n'est jamais affichée telle quelle. Beleggo ne présente pas ses octets au navigateur — pas d'iframe, pas d'URL d'objet dans une image, pas de HTML du document injecté dans la page. Ce qui est affiché, c'est le modèle analysé : du texte et des tableaux, comme texte et tableaux.
• Les noms de fichiers sont contrôlés. Des caractères de contrôle qui inversent l'affichage d'un nom peuvent faire passer un exécutable pour un PDF dans un gestionnaire de fichiers. Beleggo le signale, et le nom proposé à l'enregistrement ne contient plus ces caractères. Un nom de fichier qui est en réalité un chemin est signalé également.
• Une pièce jointe liée ne devient un lien que si la référence est une adresse web ou mail. Une référence javascript: ou data: — BT-124 est écrit par l'émetteur — est affichée, pour que vous voyiez ce que contient la facture, mais elle n'est pas cliquable.
• Le moteur de validation ne récupère rien. Les références externes dans le XML ne sont pas résolues, et la Content-Security-Policy n'autorise les connexions qu'avec l'origine du site. Vérifier une facture ne peut donc signaler à personne qu'elle est en train d'être vérifiée.

Sous-traitants

Pour exploiter le site web et traiter les achats Pro, nous faisons appel à quelques prestataires — dont aucun n’a accès à vos données de facturation :

• Cloudflare Pages — hébergement du site web (fourniture, journaux serveur).
• Stripe — traitement des paiements pour l’achat de licences Pro.

Voir la politique de confidentialité pour plus de détails.

Moteur de validation et actualité

Notre moteur est confronté aux factures de test officielles KoSIT et au validateur officiel KoSIT — automatiquement, dans notre CI. Les jeux de règles utilisés (KoSIT, XRechnung, Peppol) sont intégrés avec leurs versions et surveillés par rapport aux sources officielles, afin que les changements ne passent pas inaperçus.

Divulgation responsable

Si vous découvrez une faille de sécurité, veuillez la signaler de manière confidentielle àsecurity@beleggo.de avant de la divulguer publiquement. Nous accuserons réception et travaillerons à une correction rapide. Voir également notresecurity.txt.

Certifications (feuille de route)

Beleggo n’est pas actuellement certifié ISO 27001 ou SOC 2. L’approche locale et sans serveur réduit considérablement la surface d’attaque, puisque les données de facturation ne quittent jamais l’appareil. Nous évaluons des certifications formelles à mesure que le produit se développe.

Dernière mise à jour : juillet 2026.